DATA BREACH WIND TRE: SANZIONE DA 1,7 MILIONI DI EURO DOPO IL FURTO DEI DATI DI OLTRE 365MILA CLIENTI

Un attacco informatico può iniziare non da una vulnerabilità tecnologica sofisticata, ma da una telefonata apparentemente credibile. È quanto emerge dal provvedimento del Garante per la protezione dei dati personali, che ha inflitto a Wind Tre S.p.A. una sanzione di 1.715.600 euro dopo due accessi abusivi ai sistemi aziendali che hanno determinato l’esfiltrazione dei dati personali di oltre 365mila clienti. Per 41.359 persone la violazione ha coinvolto anche informazioni relative ai metodi di pagamento, tra cui bollettino postale, IBAN e dati della carta di credito, con numero parzialmente oscurato e data di scadenza. Il caso dimostra ancora una volta che la cybersecurity non riguarda soltanto firewall e software: credenziali, procedure interne e capacità del personale di riconoscere un tentativo di manipolazione sono parte integrante della sicurezza dei dati personali prevista dal GDPR.

COME È AVVENUTO IL DATA BREACH

L’istruttoria del Garante è stata avviata a seguito di due violazioni dei dati personali notificate dalla società nel febbraio 2025.

Secondo quanto accertato dall’Autorità, gli hacker si sarebbero presentati come tecnici dell’assistenza e avrebbero convinto gli operatori di due punti vendita a consentire loro l’accesso ai sistemi aziendali.

Una volta ottenuto l’accesso, gli aggressori sono riusciti a sottrarre dati anagrafici e informazioni di contatto appartenenti ai clienti.

La dinamica mostra il peso del cosiddetto social engineering: anziché attaccare direttamente l’infrastruttura, il criminale tenta di sfruttare la fiducia o l’errore di chi dispone delle credenziali necessarie per accedere al sistema.

OLTRE 365MILA CLIENTI COINVOLTI

La dimensione dell’incidente è rilevante.

Il documento allegato riferisce che l’esfiltrazione ha interessato i dati personali di oltre 365.000 clienti e che, per 41.359 interessati, sono state sottratte anche informazioni relative ai sistemi di pagamento utilizzati.

Tra queste figuravano IBAN, bollettino postale e informazioni relative alle carte di credito, sebbene il numero della carta risultasse parzialmente oscurato.

Un data breach di questa natura può esporre gli interessati a rischi ulteriori, soprattutto quando le informazioni sottratte possono essere utilizzate per costruire comunicazioni fraudolente più credibili.

LE CARENZE INDIVIDUATE DAL GARANTE

Il provvedimento non si concentra soltanto sul comportamento degli hacker.

L’Autorità ha riscontrato carenze nella gestione delle credenziali di accesso e dei certificati digitali. Inoltre, le verifiche di sicurezza effettuate dalla società non avevano individuato alcune vulnerabilità che, secondo quanto riportato nel documento, sarebbero state rilevabili attraverso controlli più approfonditi.

Il punto è fondamentale dal punto di vista della compliance: subire un attacco informatico non determina automaticamente una violazione del GDPR. Occorre valutare se il titolare avesse adottato misure di sicurezza adeguate rispetto ai rischi concretamente prevedibili.

GDPR: INTEGRITÀ E RISERVATEZZA DEI DATI

Il Garante ha accertato la violazione del principio di integrità e riservatezza dei dati personali e degli obblighi di sicurezza previsti dal GDPR.

Il principio previsto dall’art. 5 GDPR richiede che i dati siano trattati garantendo una sicurezza adeguata, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentali.

L’art. 32 GDPR impone inoltre al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio.

Non esiste quindi una misura di sicurezza valida indistintamente per qualsiasi organizzazione: il livello di protezione deve essere valutato considerando natura dei dati, sistemi utilizzati, rischi, modalità di accesso e possibili conseguenze per gli interessati.

PASSWORD E CREDENZIALI SONO PARTE DELLA CYBERSECURITY

Il caso evidenzia un aspetto spesso sottovalutato: proteggere una password significa proteggere i dati ai quali quella password consente di accedere.

Il Garante ha ordinato alla società di rafforzare i sistemi di protezione delle credenziali e dei certificati digitali e di introdurre strumenti sicuri per la gestione delle password. L’Autorità ha inoltre richiesto un miglioramento delle procedure di sicurezza informatica per prevenire episodi analoghi.

La gestione delle identità digitali e degli accessi deve quindi essere considerata parte strutturale della governance della sicurezza.

FORMAZIONE E SOCIAL ENGINEERING

La dinamica descritta nell’allegato offre anche una lezione organizzativa.

Gli aggressori hanno ottenuto l’accesso fingendosi tecnici dell’assistenza e convincendo gli operatori dei punti vendita.

Procedure tecniche e formazione del personale devono quindi procedere insieme. Un sistema di sicurezza efficace dovrebbe prevedere modalità chiare per verificare l’identità di chi richiede un accesso, procedure di escalation e controlli capaci di ridurre il rischio che una richiesta fraudolenta produca conseguenze sui sistemi aziendali.

La sicurezza informatica non è soltanto tecnologia: coinvolge persone, processi e strumenti.

LA NOTIFICA DEL DATA BREACH E LA COLLABORAZIONE CON IL GARANTE

Nel determinare la sanzione, l’Autorità ha considerato anche il comportamento della società successivo all’incidente.

Il documento evidenzia infatti la tempestiva notifica del data breach, le misure correttive adottate dopo l’attacco e la collaborazione prestata durante l’istruttoria.

La gestione di un incidente informatico non termina quindi nel momento in cui viene bloccato l’accesso abusivo. Occorre individuare l’accaduto, valutarne le conseguenze, adempiere agli obblighi previsti dalla normativa e intervenire sulle vulnerabilità che hanno consentito l’incidente.

COSA INSEGNA IL CASO ALLE IMPRESE

Il provvedimento costituisce un richiamo importante per qualsiasi organizzazione che gestisca dati personali attraverso reti aziendali, punti vendita, collaboratori o strutture distribuite.

La sicurezza deve essere verificata lungo l’intera catena degli accessi: credenziali, certificati digitali, password, procedure operative e controlli periodici devono essere adeguati ai rischi reali.

Il fatto che l’attacco sia stato realizzato attraverso l’inganno di un operatore non elimina la necessità di verificare se l’organizzazione avesse predisposto barriere sufficienti per impedire che quell’errore consentisse l’accesso ai dati.